JP2008245158A - 通信装置、通信方法、及び通信プログラム - Google Patents

Abstract

【課題】セキュリティアソシエーションの一貫性喪失状態から迅速に復旧できるようにする。
【解決手段】セキュリティ通信に用いられる鍵情報を含むセキュリティアソシエーションを管理する鍵管理装置と、前記セキュリティ通信を行うトラフィックに異常が起きたことを検出する検出装置と、前記トラフィックが使用するセキュリティアソシエーションの識別情報及び前記セキュリティアソシエーションを設定する際に通信した宛先のアドレスを記憶する第１の記憶装置と、前記第１の記憶装置に記憶された識別情報により識別されるセキュリティアソシエーションの一貫性喪失が前記鍵管理装置により検出されたことを検知し、前記第１の記憶装置に記憶されたアドレスを有する宛先と通信して前記セキュリティアソシエーションの再設定を行うよう前記鍵管理装置に対して指示する状態管理装置と、を具備する。
【選択図】 図１

Description

本発明はパケットを暗号化してセキュリティ通信を行う通信装置に関する。

近年、インターネットが普及するようになり、インターネット上に公開された情報やサービスを誰もが容易に利用できるようになった。インターネットを通じてアクセスしたユーザに情報やサービスを提供する新たなコンピュータビジネスの市場も次々に開拓されている。インターネット利用に関する新たな技術開発はとどまるところを知らず、様々な領域に展開している。

ビルや工場の施設に設置されるセンサーやアクチュエータなどを接続する制御ネットワークの技術分野においてもインターネットプロトコルを使用したネットワーク化（ＩＰ化）が進んでいる。同時に、制御ネットワークのセキュリティに対する関心が高まっている。セキュリティメカニズムをネットワークの上位層で独自に規定し実装すると、アプリケーション開発コストや管理コストが高くなる可能性があるため、アプリケーション非異存とする共通のセキュリティフレームワークに期待が持たれている。

パケット通信における認証及び暗号化が行えるＩＰｓｅｃは、ＲＦＣ４３０１においてそのアーキテクチャが規定されている（非特許文献１参照）。現在のＩＰｓｅｃではセキュリティアソシエーション（Security Association：ＳＡ）の一貫性が喪失した状態からの復旧に問題がある。この問題を、サーバに対して多数のセンサーがデータを定期的に送信する事例を挙げて説明する。

サーバが障害によりリブートしたとする。このときセンサーはサーバに対するセキュリティアソシエーションを維持しているが、サーバはすべてのセンサーに対するセキュリティアソシエーションを失う。ここで、ＩＰｓｅｃにより暗号化されたパケットをセンサーがサーバに送ったとする。セキュリティアソシエーションを失っているサーバは、このセンサーからのパケットを無言で破棄（silently discard）する。このためセンサー側は、もはやサーバとセキュリティアソシエーションを共有している状態ではないこと、すなわちセキュリティアソシエーションの一貫性喪失（IPsec SA state inconsistency）状態に陥ったことを検知できない。この好ましくない状態は、本来ならば消去されるべきであるのにセンサー側に存在しているセキュリティアソシエーションのライフタイム（ｌｉｆｅｔｉｍｅ）が尽きるまで続く。

この問題を解決する方法のひとつにＩＫＥｖ２（非特許文献２参照）やＫＩＮＫ（非特許文献３参照）で規定されているデッド・ピア・ディテクション（Dead Peer Detection：ＤＰＤ）がある。
RFC4301 Security Architecture for the Internet Protocol. S. Kent, K. Seo. December 2005. RFC4306 Internet Key Exchange (IKEv2) Protocol. C. Kaufman, Ed.. December 2005. RFC4430 Kerberized Internet Negotiation of Keys (KINK). S. Sakane, K. Kamada, M. Thomas, J. Vilhuber. March 2006.

パケットのトラフィックを監視して起動されるＤＰＤは、セキュリティアソシエーションの一貫性喪失を検出できる。したがって、ライフタイムが尽きるのを待つことなく、該当する不適切なセキュリティアソシエーションを消去できる。

しかしながら、再送等のために次のトラフィックパケットが発生するまでセキュリティアソシエーションの再設定（鍵交換等）が行われないために、この再設定に要する処理時間がオーバヘッドになっている。

本発明は上記事情を考慮してなされたものであり、ＩＰｓｅｃセキュリティアソシエーションの一貫性喪失状態から迅速に復旧する通信装置を提供することを目的とする。

本発明の一観点に係る通信装置は、セキュリティ通信に用いられる鍵情報を含むセキュリティアソシエーションを管理する鍵管理装置と、前記セキュリティ通信を行うトラフィックに異常が起きたことを検出する検出装置と、前記トラフィックが使用するセキュリティアソシエーションの識別情報及び前記セキュリティアソシエーションを設定する際に通信した宛先のアドレスを記憶する第１の記憶装置と、前記第１の記憶装置に記憶された識別情報により識別されるセキュリティアソシエーションの一貫性喪失が前記鍵管理装置により検出されたことを検知し、前記第１の記憶装置に記憶されたアドレスを有する宛先と通信して前記セキュリティアソシエーションの再設定を行うよう前記鍵管理装置に対して指示する状態管理装置と、を具備する。

本発明によれば、ＩＰｓｅｃセキュリティアソシエーションの一貫性喪失状態から迅速に復旧する通信装置を提供できる。

（第１の実施形態）
図１に示すように、第１の実施形態に係る制御ネットワークはノードＩとノードＲとから構成される。ノードＩは、トラフィック異常検出装置１、ＤＰＤ状態管理装置２、トラフィック記憶装置３、ＤＰＤ処理装置６を有する。またノードＩは、セキュリティポリシーデータベース（ＳＰＤ）４、セキュリティアソシエーションデータベース（ＳＡＤ）５、及び鍵管理デーモン（ＫＭＤ）７を有する。

トラフィック異常検出装置１、ＤＰＤ状態管理装置２、トラフィック記憶装置３、セキュリティポリシーデータベース（ＳＰＤ）４、セキュリティアソシエーションデータベース（ＳＡＤ）５はカーネル空間に設けられ、ＤＰＤ処理装置６及び鍵管理デーモン（Key Management Daemon：ＫＭＤ）７はユーザ空間に設けられる。ＤＰＤ処理装置６は、鍵管理デーモン７側に設けられ、カーネル空間のＤＰＤ状態管理装置２からのメッセージに応答する。

セキュリティポリシーデータベース（Security Policy Database：ＳＰＤ）４は、送信者ＩＰアドレス（Source IP Address：ＳＲＣ）と宛先（受信者）ＩＰアドレス（Destination IP Address ：ＤＳＴ）との間のセキュリティポリシーを記憶するデータベースである。セキュリティポリシー（Security Policy：ＳＰ）は、どのパケットに対してどのセキュリティアソシエーションを適用するか（あるいは暗号化せずに送信するか）といったセキュリティ通信におけるポリシーを表す。

ノードＩの鍵管理デーモン７は、ノードＲの鍵管理デーモン８と鍵交換プロトコルに従って通信を行い、セキュリティアソシエーションを交換する。セキュリティアソシエーション（Security Association：ＳＡ）は、暗号化方式やその暗号鍵など、パケットの暗号処理及び復号処理に必要な情報の集合体であり、セキュリティアソシエーションデータベース５に記憶される。セキュリティアソシエーションデータベース５において、セキュリティアソシエーションはセキュリティパラメータインデックス（Security Parameter Index：ＳＰＩ）により識別される。通常、（ＤＳＴ，ＳＰＩ）の組で一意にセキュリティアソシエーションが特定される。

今、ノードＩの上で動作するアプリケーションＡＩ１がノードＲの上で動作するアプリケーションＡＲ１と通信している状況を想定する。また、この通信と同時に、ノードＩの上で動作するアプリケーションＡＩ２がノードＲの上で動作するアプリケーションＡＲ２と通信しているものとする。

ノードＩのセキュリティポリシーデータベース（ＳＰＤ）４には「ノードＩがノードＲと通信する際には暗号化（ＥＳＰ）を行うこと」及び「すべての通信において互いに異なるセキュリティアソシエーションを用いること」を意味するセキュリティポリシー（ＳＰ）が格納されているものとする。同様に、ノードＲのセキュリティポリシーデータベース（不図示）には「ノードＲがノードＩと通信する際には暗号化（ＥＳＰ）を行うこと」及び「すべての通信において互いに異なるセキュリティアソシエーションを用いること」を意味するセキュリティポリシーが格納されているものとする。

ここで、アプリケーションＡＩ１がアプリケーションＡＲ１にパケットを送信することを考える。パケットはユーザ空間からカーネル空間に送られる。セキュリティポリシーデータベース４によると、このパケットを暗号化しなければならないことが分かるので、セキュリティアソシエーションデータベース５を検索する。セキュリティアソシエーションデータベース５に適切なセキュリティアソシエーションが存在しない場合、ノードＲに交渉して新たにセキュリティアソシエーションを作らなければならない。このためカーネルは鍵管理デーモン７に対して、ノードＲとネゴシエーションを行ってセキュリティアソシエーションを取得することを要求する。このセキュリティアソシエーションの取得要求メッセージは、「アクワイア（ＡＣＱＵＩＲＥ）」と呼ばれる。

鍵管理デーモン７がセキュリティアソシエーションの取得要求メッセージを受信すると、対象のノードの鍵管理デーモン（この場合はノードＲの鍵管理デーモン８）と通信を行ない、セキュリティアソシエーションについて合意する。セキュリティアソシエーションは一方向の情報であるため、通常、偶数個（典型的には送信用に一個、受信用に一個の合計二個）のセキュリティアソシエーションが合意される。鍵管理デーモン７はこのセキュリティアソシエーションをセキュリティアソシエーションデータベース５に設定する。セキュリティアソシエーションデータベース５は典型的にはカーネル内に配置されるが、実装によってはユーザ空間にあってもよい。合意に至ったセキュリティアソシエーションはＳＡ（Ｒ，１１１）とＳＡ（Ｉ，１１２）であるとする。

カーネル内部のトラフィック異常検出装置１（実装によってはユーザ空間に設けられてもよい）は、アプリケーション通信のトラフィックに異常が生じたことを検出する。「トラフィック異常」とは、基本的には、通信相手からの応答が期待される状態において、通信相手からのパケットが送られていこない状態のことをいう。

トラフィック異常をどのようにして検出するかは任意であるが例えば次のような方法が考えられる。

・暗号化する直前のパケットを監視して記憶しておき、頻繁に再送が起きている状態をトラフィック異常とする（ＴＣＰの場合）。

・一定数のパケットを送信しているにもかかわらず、対応する応答パケットが到来しない状態をトラフィック異常とする（ＵＤＰの場合）。

・第四層以上のネットワークスタック内部の情報を参照し、トラフィック異常を検出する。

・第四層以上のネットワークスタックに異常発生を通知する機構を設け、そのような通知を以てトラフィック異常とする。

・アプリケーションに異常発生を通知する機構を設け、そのような異常の通知を以てトラフィック異常とする。

・あるセキュリティアソシエーションに対するトラフィックの組の使用状況を監視し、出力側のセキュリティアソシエーションが使用されているにもかかわらず入力側のセキュリティアソシエーションが使用されないという状態を検知し、そのような状態の検知を以てトラフィック異常とする。

トラフィック異常が検出された場合、トラフィック異常検出装置１はそのトラフィックについての情報をＤＰＤ状態管理装置２に通知する。このトラフィック情報は、例えば、送信元アドレス、宛先アドレス、通信プロトコル、プロトコル依存情報など、そのトラフィックが使用するセキュリティアソシエーションを特定可能な情報である。

ＤＰＤ状態管理装置２は、このトラフィック情報を受けとった時、以下の処理を行う。

先ず、対象トラフィックのセキュリティアソシエーションを生成した時に通信した宛先のアドレス（この例では、鍵管理デーモン８に相当する宛先アドレス）を求める。これはセキュリティアソシエーションの宛先アドレスに一致することもあるが、トンネルモードのような場合には、そのＯＳやプロトコルスタックの構造に従ってトンネル先のアドレスを求める必要がある。このような宛先アドレスを（ＫＭＤ−ＤＳＴ）と記す。

次に、トラフィック異常検出装置１から通知されたトラフィック情報から、そのトラフィックが使用するセキュリティアソシエーションを求める。

次に、図２に示すように、トラフィック異常検出装置１から通知されたトラフィック情報、そのトラフィックが使用するセキュリティアソシエーション群、及びＫＭＤ−ＤＳＴ等を含む情報をトラフィック記憶装置３に記憶する。ここで記憶する情報は、後に鍵管理デーモン７に対してセキュリティアソシエーションの再設定を要求する際に必要な情報であり、鍵交換プロトコルに依存する。なお、少なくとも、ＫＭＤ−ＤＳＴと、対象セキュリティアソシエーション群の組が必要である。

次に、自ノードＩの鍵管理デーモン７に対して、ＫＭＤ−ＤＳＴを相手にしてデッド・ピア・ディテクション（ＤＰＤ）を行なうように要求する。ここではこの要求をＤＰＤトリガ（ＤＰＤ Ｔｒｉｇｇｅｒ）と呼ぶ。鍵管理デーモン７のＤＰＤ処理装置６は、ＤＰＤトリガを受けとると、鍵管理デーモン７の機能によって、現在ノードＲとの間で使われている鍵交換プロトコルに従ったＤＰＤを行なう。

ＤＰＤによって、何らかの理由でノードＩが使用しているセキュリティアソシエーションに対応するセキュリティアソシエーションをノードＲが喪失していることが判明した場合（セキュリティアソシエーションの一貫性喪失状態を検出）、鍵管理デーモン７は、セキュリティアソシエーションデータベース５において、対象となるセキュリティアソシエーションを消去する。ＤＰＤ状態管理装置２はこの消去処理が行われたことを検知する。なお、セキュリティアソシエーションの一貫性喪失状態が検出された旨をＤＰＤ処理装置６がＤＰＤ状態管理装置２に対して明示的に通知するよう構成してもよい。

セキュリティアソシエーションの消去を検出するか、あるいはＤＰＤ処理装置６からの明示的な通知によって、一貫性喪失状態を検知したＤＰＤ状態管理装置２は、もしトラフィック記憶装置３に記憶され、異常が検出されたトラフィックが使用するセキュリティアソシエーション（これは、上述のＫＭＤ−ＤＳＴと、対象セキュリティアソシエーション群（の識別情報））がセキュリティアソシエーションデータベース５から消去されたことが分かった場合には、鍵管理デーモン７に対して、対象となるトラフィックに対する鍵交換（すなわち、一貫性喪失状態に陥ったセキュリティアソシエーションの再設定）を行なうように要求する。

再設定の要求を終えたら、ＤＰＤ状態管理装置２はトラフィック記憶装置３から該当するトラフィック情報を削除する。

尚、通信相手であるノードＲは、ノードＩが使用しているセキュリティアソシエーションに対応するセキュリティアソシエーションを喪失していないことがＤＰＤによって判明した場合には、ＤＰＤ処理装置６がＤＰＤ状態管理装置２に対してセキュリティアソシエーションの一貫性が失われていないことを明示的に通知してもよい。この場合、ＤＰＤ状態管理装置２はトラフィック記憶装置３から対象のトラフィック情報を削除する。また、ＤＰＤ処理装置６が、ＤＰＤ状態管理装置２に対してセキュリティアソシエーションの一貫性が失われていないことを明示的に通知しない構成とする場合には、ある程度の状態の有効期限を設けて、その有効期間内に対象となるセキュリティアソシエーションが消去されなかった場合には、これを以てセキュリティアソシエーションの一貫性が失われていない、ということにしてもよい。

以上説明したように、鍵管理デーモン７がＤＰＤを行うことによりセキュリティアソシエーションの一貫性喪失状態が検出された時点において、該セキュリティアソシエーションの再設定をＤＰＤ状態管理装置２が指示するよう構成されている。したがって、次のトラフィックパケットが発生するまでセキュリティアソシエーションの再設定が行われないためにオーバヘッドが生じるという事態を回避することができる。よって、ＩＰｓｅｃセキュリティアソシエーションの一貫性喪失からの復旧を高速化できる。

ここで、図３及び図４を参照し、本発明に従わない場合のセキュリティアソシエーションの再設定と、上述した第１の実施形態によるセキュリティアソシエーションの再設定について説明する。

図３は、本発明に従わない場合のセキュリティアソシエーションの再設定のシーケンスを示している。ＤＰＤ（Ｓ１）によってセキュリティアソシエーションの一貫性喪失状態が鍵管理デーモン７（ＫＭＤ）により検出され、同鍵管理デーモン７により該当するセキュリティアソシエーションの消去（Ｓ２）が行われた後、上位層においてパケットの再送（Ｓ３）が発生するまで、カーネルでは何ら処理を行わない。つまり、上位層においてパケットの再送（Ｓ３）が発生してはじめてセキュリティアソシエーション取得要求（Ｓ４）がなされる。よって、セキュリティアソシエーション再設定にかかる時間Ｔｋｅがオーバーヘッドとなっている。

これに対し図４に示す第１の実施形態の場合、一貫性喪失状態が検出されたら（Ｓ１）、ＤＰＤ状態管理装置２の処理によりセキュリティアソシエーション取得要求（Ｓ２）がなされる。このため、上位層における再送の発生（Ｓ４）を待つことなくすみやかにセキュリティアソシエーションの設定（Ｓ３）が完了することになる。よって、図３に示したような時間Ｔｋｅのオーバーヘッドが生じることがない。

（第２の実施形態）［ＤＰＤ中に他のトラフィックの異常検出］
図５に示すように、第２の実施形態は、図１に示したノードＩにＤＰＤ状態記憶装置１０が付加されている。ＤＰＤ状態管理装置２は、ＤＰＤ状態管理装置２から鍵管理デーモン７へＤＰＤトリガが送信された際に、現在ＤＰＤを行なっているという状態と、ＤＰＤを行なう相手のアドレス（ＫＭＤ−ＤＳＴ）の組（この例では「Ｒ」）を記憶する。ＤＰＤ状態管理装置２による記憶される情報の一例を図６に示す。

ある特定の宛先ノードに対して既にＤＰＤ状態にある場合、即ちＤＰＤ状態記憶装置１０には、ある特定の宛先ノードに対してＤＰＤを行なっていることが記録されている状態において、さらに、異なるトラフィックの異常がトラフィック異常検出装置１によって検出された場合、このトラフィック異常が起きたトラフィック情報は、同様にＤＰＤ状態管理装置２に通知される。

このトラフィック情報に対応したＤＰＤを行なうべき宛先がすでにＤＰＤ状態記憶装置１０に記憶されている場合には、同宛先は現在ＤＰＤ中であることがわかる。そこで、ＤＰＤ状態管理装置２は、トラフィック情報は記憶するが、鍵管理デーモン７へのＤＰＤトリガの送信は行わない（ＤＰＤトリガの送信禁止）。

もしセキュリティアソシエーションの一貫性喪失が検出され、セキュリティアソシエーションが消去された場合には、ＤＰＤ状態管理装置２は鍵管理デーモン７に対して、トラフィック記憶装置３に記憶されているものの中で、対象となるトラフィック（すなわちＤＰＤの結果、セキュリティアソシエーションが消去されたトラフィック）のそれぞれについて鍵交換を行なうように要求する。その後、ＤＰＤ状態管理装置２はトラフィック記憶装置３から対象となるトラフィック情報を削除するとともに、ＤＰＤ状態記憶装置１０から対象のＤＰＤ状態情報を削除する。

第２の実施形態によれば、ＤＰＤメッセージ（具体的にはＤＰＤトリガのメッセージ）が冗長的に送信されることが防止される上、ＤＰＤ中にアプリケーションが使用する予定であったセキュリティアソシエーションが同時に復旧するという利点がある。

（第３の実施形態）［ＤＰＤ中に送信したパケットをキャッシュ］
図７に示すように、第３の実施形態は、図１に示したノードＩにパケットキャッシュ装置１１が付加されている。

トラフィック異常検出装置１によってトラフィック異常が検出された場合、ＤＰＤ状態管理装置２は、（トラフィック異常が検出される原因となったパケットを含む）それ以後のパケットを、パケットキャッシュ装置１１に記憶する。このとき、図８に示すように、トラフィック記憶装置３に記憶されている、対象となるトラフィックを特定できる情報（例えばタプルのＩＤなど）についても記憶する。

なお、パケットキャッシュ装置１１のパケットキャッシュサイズは任意である。例えば最新のパケットを１つだけキャッシュするのでも良いし、最新から５つのパケットをキャッシュしても良い。あるいは、全てのパケットをキャッシュしても良い。

この後、セキュリティアソシエーションの一貫性喪失が検出され、セキュリティアソシエーションが消去された後、鍵管理デーモン７が対象となるトラフィックに対する新しいセキュリティアソシエーションを設定した時に、ＤＰＤ状態管理装置２は、パケットキャッシュ装置１１にキャッシュされたパケットをその新しいセキュリティアソシエーションで再度暗号化し、送信（再送）する。

したがって、本来であればセキュリティアソシエーションの一貫性の喪失によって通信相手が受信できなかったパケットを再送可能となるから、アプリケーション通信を迅速に復旧させることが可能となる。

具体的には、図９に示すように、セキュリティアソシエーションの取得要求により新しいセキュリティアソシエーションが迅速に得られ（Ｓ１）、パケットキャッシュ装置１１からパケットを読み出し、新しいセキュリティアソシエーションを用いて暗号化し、これをカーネル空間のＤＰＤ状態管理装置２から送信（Ｓ２）できる。よって、ノードＮ２からは新しいセキュリティアソシエーションで暗号化された応答パケットを得ることができるから、上位層における再送は起きない。

（第４の実施形態）［ＳＡの内容もキャッシュ］
第４の実施形態は第３の実施形態の変形例に係る。

実装によっては、キャッシュ可能であるのは暗号化されたパケットのみとする場合がある。この場合、ＤＰＤ状態管理装置２はその時に使用されているセキュリティアソシエーションの内容もパケットキャッシュ装置１１にキャッシュする。

この後、セキュリティアソシエーションの一貫性喪失が検出されセキュリティアソシエーションが消去された後に、対象となるトラフィックに対する新しいセキュリティアソシエーションを鍵管理デーモン７が設定したならば、ＤＰＤ状態管理装置２は、パケットキャッシュ装置１１にキャッシュされたパケットを読み出す。読み出されたパケットは暗号化されている。ここで、ＤＰＤ状態管理装置２は、パケットキャッシュ装置１１に記憶しておいた（古い）セキュリティアソシエーションを読み出し、これを用いてパケットを復号化する。これにより得られた暗号化前の平文のパケットを、新しいセキュリティアソシエーションで再度暗号化して送信する。

このように第４の実施形態によれば、暗号化されたパケットのみをキャッシュ可能とする実装条件によって、キャッシュしたパケットを再送できなくなるという問題を回避できる。

（第５の実施形態）
第５の実施形態において、状態管理装置２は、鍵管理デーモン７にＤＰＤトリガを送信する時に、対象となるトラフィック情報についても鍵管理デーモン７に通知するように構成される。上述したように、トラフィック情報はセキュリティアソシエーションの再設定を要求する際に必要な情報であり、鍵交換プロトコルに依存する。少なくとも、ＫＭＤ−ＤＳＴと、対象セキュリティアソシエーション群の組が必要である。

鍵管理デーモン７（ＤＰＤ処理装置６が行ってもよい）は、通知されたトラフィック情報をトラフィック記憶装置３に記憶する。そして鍵管理デーモン７は、ＤＰＤを行ってセキュリティアソシエーションの一貫性喪失を検出した際に、対象のセキュリティアソシエーションを消去する。同時に、状態管理装置２から通知されたトラフィック情報に基づき、その対象トラフィックのセキュリティアソシエーションの交換を相手ノードと行う。

このような第５の実施形態によれば、上述した第１の実施形態と同様の作用効果が得られる上、カーネル空間とユーザ空間との間の通信オーバヘッドを削減できる。

なお、本発明は上記実施形態そのままに限定されるものではなく、実施段階ではその要旨を逸脱しない範囲で構成要素を変形して具体化できる。また、上記実施形態に開示されている複数の構成要素の適宜な組み合わせにより、種々の発明を形成できる。例えば、実施形態に示される全構成要素から幾つかの構成要素を削除してもよい。さらに、異なる実施形態にわたる構成要素を適宜組み合わせてもよい。

第１の実施形態に係る制御ネットワークを示す図 トラフィック記憶装置が記憶する情報の一例を示す図 本発明に従わない場合のセキュリティアソシエーションの再設定を示すシーケンス図 第１の実施形態によるセキュリティアソシエーションの再設定を示すシーケンス図 第２の実施形態に係る制御ネットワークを示す図 ＤＰＤ状態記憶装置が記憶する情報の一例を示す図 第３の実施形態に係る制御ネットワークを示す図 パケットキャッシュ装置が記憶する情報の一例を示す図 キャッシュされたパケットをセキュリティアソシエーションの再設定後に再送する場合を示すシーケンス図

符号の説明

１…トラフィック異常検出装置；
２…ＤＰＤ状態管理装置；
３…トラフィック記憶装置；
４…セキュリティポリシーデータベース（ＳＰＤ）；
５…セキュリティアソシエーションデータベース（ＳＡＤ）；
６…ＤＰＤ処理装置；
７，８…鍵管理デーモン（ＫＭＤ）

Claims (10)

1. セキュリティ通信に用いられる鍵情報を含むセキュリティアソシエーションを管理する鍵管理装置と、
   前記セキュリティ通信を行うトラフィックに異常が起きたことを検出する検出装置と、
   前記トラフィックが使用するセキュリティアソシエーションの識別情報及び前記セキュリティアソシエーションを設定する際に通信した宛先のアドレスを記憶する第１の記憶装置と、
   前記第１の記憶装置に記憶された識別情報により識別されるセキュリティアソシエーションの一貫性喪失が前記鍵管理装置により検出されたことを検知し、前記第１の記憶装置に記憶されたアドレスを有する宛先と通信して前記セキュリティアソシエーションの再設定を行うよう前記鍵管理装置に対して指示する状態管理装置と、を具備する通信装置。
2. 前記状態管理装置は、前記鍵管理装置からの通知により前記一貫性喪失を検知する請求項１に記載の通信装置。
3. 前記状態管理装置は、前記識別情報により識別されるセキュリティアソシエーションを前記鍵管理装置がセキュリティアソシエーションデータベースから消去したことを検出することにより、前記一貫性喪失を検知する請求項１に記載の通信装置。
4. 第１のトラフィックの異常検出により前記鍵管理装置が第１の宛先との間でデッド・ピア・ディテクションを行っている状態であることを表す状態情報を記憶する第２の記憶装置と、
   前記第１のトラフィックとは別の第２のトラフィックに異常が起きたことが前記検出装置により検出されたときに、この第２のトラフィックについて前記鍵管理装置がデッド・ピア・ディテクションを行うべき第２の宛先が前記第１の宛先と同一であるならば、前記鍵管理装置に対してデッドピアディテクショントリガを送信するのを禁止する手段とを具備する請求項１乃至３のいずれかに記載の通信装置。
5. 前記トラフィックの送信パケットを記憶するパケットキャッシュ装置と、
   再設定されたセキュリティアソシエーションを用いて前記パケットキャッシュ装置に記憶された送信パケットを再送する手段とをさらに具備する請求項１乃至４のいずれかに記載の通信装置。
6. セキュリティ通信を行うトラフィックに異常が起きたことを検出する検出装置と、
   前記トラフィックが使用するセキュリティアソシエーションの識別情報及び前記セキュリティアソシエーションを設定する際に通信した宛先のアドレスを記憶する第１の記憶装置と、
   前記第１の記憶装置に記憶された識別情報により識別されるセキュリティアソシエーションの一貫性喪失を検出し、前記第１の記憶装置に記憶されたアドレスを有する宛先と通信して前記セキュリティアソシエーションの再設定を行う鍵管理装置と、を具備する通信装置。
7. セキュリティ通信を行うトラフィックに異常が起きたことを検出装置が検出するステップと、
   前記トラフィックが使用するセキュリティアソシエーションの識別情報及び前記セキュリティアソシエーションを設定する際に通信した宛先のアドレスを第１の記憶装置が記憶するステップと、
   状態管理装置が、前記第１の記憶装置に記憶された識別情報により識別されるセキュリティアソシエーションの一貫性喪失が鍵管理装置により検出されたことを検知し、前記第１の記憶装置に記憶されたアドレスを有する宛先と通信して前記セキュリティアソシエーションの再設定を行うよう前記鍵管理装置に対して指示するステップと、を具備する通信方法。
8. セキュリティ通信を行うトラフィックに異常が起きたことを検出装置が検出するステップと、
   前記トラフィックが使用するセキュリティアソシエーションの識別情報及び前記セキュリティアソシエーションを設定する際に通信した宛先のアドレスを第１の記憶装置が記憶すると、
   鍵管理装置が、前記第１の記憶装置に記憶された識別情報により識別されるセキュリティアソシエーションの一貫性喪失を検出し、前記第１の記憶装置に記憶されたアドレスを有する宛先と通信して前記セキュリティアソシエーションの再設定を行うステップと、を具備する通信方法。
9. コンピュータを、
   セキュリティ通信に用いられる鍵情報を含むセキュリティアソシエーションを管理する鍵管理装置、
   前記セキュリティ通信を行うトラフィックに異常が起きたことを検出する検出装置、
   前記トラフィックが使用するセキュリティアソシエーションの識別情報及び前記セキュリティアソシエーションを設定する際に通信した宛先のアドレスを記憶する第１の記憶装置、
   前記第１の記憶装置に記憶された識別情報により識別されるセキュリティアソシエーションの一貫性喪失が前記鍵管理装置により検出されたことを検知し、前記第１の記憶装置に記憶されたアドレスを有する宛先と通信して前記セキュリティアソシエーションの再設定を行うよう前記鍵管理装置に対して指示する状態管理装置、として動作させるための通信プログラム。
10. コンピュータを、
    セキュリティ通信を行うトラフィックに異常が起きたことを検出する検出装置、
    前記トラフィックが使用するセキュリティアソシエーションの識別情報及び前記セキュリティアソシエーションを設定する際に通信した宛先のアドレスを記憶する第１の記憶装置、
    前記第１の記憶装置に記憶された識別情報により識別されるセキュリティアソシエーションの一貫性喪失を検出し、前記第１の記憶装置に記憶されたアドレスを有する宛先と通信して前記セキュリティアソシエーションの再設定を行う鍵管理装置、として動作させるための通信プログラム。

Images